Лишь 20% компаний в России серьезно относятся к ИБ

На конференции K2 Cloud Conf 2026 компании K2 Cloud, «K2 Кибербезопасность» и Positive Technologies представили итоги масштабного исследования киберустойчивости российских компаний. В анонимном опросе участвовали 387 специалистов из средних и крупных организаций разных отраслей, преимущественно руководителей ИБ и ИТ. Главный вывод – отечественные компании по-прежнему слабо готовы к реальным киберугрозам и не понимают, как выстраивать защиту самостоятельно. IT Speaker ознакомился с результатами.

Серьезно относятся к кибербезопасности лишь 20% респондентов: они внедрили внутренние стандарты ИБ с учетом актуальных угроз, а не только формально проходят аудит у регуляторов. Меньше половины (40%) централизованно и регулярно сканируют системы на уязвимости. Почти треть компаний вообще не проверяет защищенность ИТ-инфраструктуры. Документированные сценарии реагирования на инциденты, которые регулярно тестируются, есть только у 15%. У 36% компаний функции кибербезопасности до сих пор выполняют сотрудники ИТ-отдела без четкого разграничения ролей, а 80% организаций практикуют удаленную или гибридную работу. Размытый периметр вместе с неясной ответственностью за безопасность создают готовую точку входа для атакующих.

Руководитель практики кибербезопасности K2 Cloud Анжелика Захарова отметила, что данные отражают типичную картину «бумажной» безопасности: формально ИБ-функция существует, но операционная зрелость – непрерывный мониторинг, тестирование сценариев, риск-ориентированное бюджетирование – остается уделом меньшинства. Разрыв между наличием структуры и реальной способностью реагировать на угрозы огромен. При этом 41% компаний до сих пор не используют облака, беря на себя всю нагрузку по защите инфраструктуры, хотя современные облачные провайдеры серьезно инвестируют в безопасность и предлагают уровень защиты, который большинству компаний сложно воспроизвести in-house.

Лишь у 9% компаний бюджет, задачи и KPI в сфере ИБ основаны на оценке ущерба и вероятности инцидентов. У большинства объем расходов на кибербезопасность формируется исходя из численности сотрудников или общего ИТ-бюджета. 30% организаций участвуют в программах bug bounty, проводят регулярные пентесты или киберучения с привлечением внешних экспертов.

«В прошлом году мы увидели положительную динамику – половина ИТ- и ИБ-директоров отметили значительное повышение интереса к кибербезопасности со стороны топ-менеджмента и увеличение бюджетов на ИБ. При этом текущий опрос показал, что лишь у 17% компаний есть выделенная роль CISO в составе совета директоров для формирования стратегии ИБ. Это очень низкий показатель. Целенаправленный характер атак и возможные бизнес-риски должны сделать кибербезопасность обязательной частью бизнес-стратегии любой организации», – прокомментировал директор по развитию бизнеса «К2 Кибербезопасность» Андрей Заикин.

У 76% компаний в слепой зоне остается обучение персонала – этот процесс либо отсутствует, либо проводится редко и формально (при найме или уже после инцидента). 

Руководитель образовательных программ Positive Education в Positive Technologies Анастасия Федорова отметила, что необходимость повышать киберграмотность сотрудников осознают немногие, а последствия – взлом через социальную инженерию и фишинг. Обучение должно быть сквозным – от рядовых сотрудников до CEO, поскольку топ-менеджмент интересен хакерам из-за максимальных полномочий доступа к критической информации и финансам. ИБ-специфику важно учитывать при формировании комплексного плана развития персонала.

Что касается средств защиты, 38% компаний продолжают полагаться только на корпоративный антивирус или базовый файервол, которых недостаточно для всесторонней защиты от современных угроз. У 33% есть системы обнаружения вторжений или защиты конечных точек (IDS, IPS, EDR), но без централизованной корреляции и с проблемами shadow IT.

Напомним, что в 2025 году 34% промышленных организаций увеличили бюджеты на информационную безопасность, 45% оставили бюджет без изменений, а 21% компаний сократили финансирование. Росту бюджета способствовали экономические факторы, а также необходимость усилить защиту от рисков ИБ и соответствовать ужесточившимся требованиям регуляторов. Об этом стало известно из результатов исследования «СёрчИнформ», которое есть в распоряжении у IT Speaker.